Claude Dispatch tiene un fallo de diseño con nombre propio, ThisBash, y la demostración cabe en una frase: una extensión de navegador con acceso a claude.ai logró que Claude Desktop ejecutara comandos en el sistema operativo, sin explotar el navegador y sin que la persona tocara el teclado.
La investigación la publicó Forever Security el 4 de noviembre y la firma Gal Weizman. El equipo comprobó que Dispatch respondía desde una sesión web común de claude.ai, porque la aplicación de escritorio es un programa Electron construido sobre esa misma interfaz. En la web el enlace a Dispatch ni aparecía: estaba oculto, no cerrado.
Dispatch nació para otra cosa: enviar instrucciones desde el teléfono a Claude Desktop, el agente que trabaja con archivos locales y ejecuta comandos en la computadora. Esa conexión salió limpia en las pruebas. El hueco apareció por la pestaña del navegador, donde las extensiones conviven con la página.
El resultado mueve el problema de categoría. Una extensión suele quedarse dentro del navegador: lee páginas, altera lo que se ve, actúa con sesiones abiertas. ThisBash cruzó esa frontera y convirtió un permiso de página en ejecución local, con los permisos del propio agente. Abusar de extensiones contra herramientas de programación con inteligencia artificial ya dejó un caso cercano: la extensión falsa de Cursor que abría una puerta trasera en Claude Code.
Cuatro mensajes para convencer al agente
La prueba de concepto usó una extensión con el formato Manifest V3. Su código se registró en el mundo principal de JavaScript de claude.ai, con acceso a las cookies de la sesión, y abrió la dirección de Dispatch en una ventana emergente de 200 por 200 píxeles, sin foco: la única huella visible del ataque.
Con esa ventana abierta, la extensión pidió a la interfaz la identificación de la sesión local del agente de escritorio. Después empezó la conversación falsa, firmada por la sesión legítima.
Forever Security llama a la técnica prompt forcing, forzar la conversación: el atacante controla el canal de entrada, escribe como si fuera el usuario, lee cada respuesta y ajusta el siguiente mensaje. Cuatro mensajes escritos a mano bastaron. El primero pidió listar las carpetas de trabajo; el segundo, instalar un paquete de npm en la carpeta temporal con Claude Code. Cuando Claude dudó ante un paquete desconocido, el cuarto mensaje lo tranquilizó en voz del supuesto dueño, y la instalación siguió.
La aprobación humana también cayó. Claude pide permiso antes de actuar, y un temporizador que pulsaba el botón de permitir cada segundo aprobó cada solicitud sin nadie mirando. El paquete ejecutó al instalarse una orden que abrió la Calculadora: una demostración inofensiva de una ruta que, con otro paquete, copia archivos, agrega llaves SSH —el protocolo de acceso remoto seguro— o deja una puerta trasera.
La extensión de la casa, la computadora del trabajo
El alcance depende de qué escritorio pueda alcanzar la sesión comprometida. En la misma máquina, el ataque sale del entorno aislado del navegador y ejecuta en local. Con dos máquinas ligadas a la misma cuenta, el código se ejecuta a distancia en la otra: ejecución remota de código (RCE, por sus siglas en inglés). Si esa segunda máquina es la portátil del trabajo con una cuenta personal abierta, la extensión instalada en la casa se convierte en puerta de entrada al equipo corporativo, junto al código fuente y las credenciales de la nube.
No es un escenario raro. Forever Security contó cuentas personales de Claude con Dispatch entre dispositivos activado en equipos corporativos de sus clientes. LayerX cifró en su informe de navegadores de 2025 que el 99 % de los usuarios empresariales observados tenía al menos una extensión instalada, y el 53 %, extensiones con permisos altos o críticos.
Las medidas propuestas apuntan a los dos lados del puente: inventario de agentes y cuentas en uso, apagar el control entre dispositivos donde no haga falta, tratar las extensiones como programas instalados con revisión de permisos, y aprobaciones que el mismo canal que pide la acción no pueda pulsar por su cuenta.
La línea de tiempo deja a Anthropic en una posición incómoda. Weizman reportó el fallo el 14 de mayo de 2026. El 19 de mayo la empresa lo reconoció como válido y lo cerró como duplicado de un hallazgo interno; no hubo recompensa ni código CVE, el registro público de vulnerabilidades, de acuerdo con el reporte de The Register, que destapó el caso el 5 de noviembre.
El 13 de octubre Anthropic anunció que retiraría Claude Dispatch con meta de fin de octubre. Esa fecha pasó y la página oficial de ayuda lo mantenía en fase beta limitada para algunos planes Pro, Max y Ultra, cerrado a usuarios nuevos, de acuerdo con la revisión de The Register del 30 de octubre. Nadie ha confirmado su cierre total.
Retirar Dispatch, advierte el equipo investigador, no cierra el fondo: el control remoto de Claude Code y las sesiones de Cowork comparten el mismo diseño, donde una sesión web con la cuenta abierta ordena a un agente local. La firma anunció un segundo informe sobre ese alcance. El dato práctico queda en manos de cada usuario de Claude Desktop: las extensiones con acceso a claude.ai y las cuentas personales abiertas en máquinas de trabajo definen hoy el tamaño real de este hueco.
Fuente: Forever Security
